Modul 7 · 7.1
Prava i minimalno upravljanje pristupom
Modul 7: Pristup, dobavljači i cloud · Vrijeme čitanja: 10 minuta
Cilj učenja: Nakon ove lekcije moći ćete urediti prava prema načelu "najmanje potrebno": svatko ima vlastiti račun, administratorska prava su odvojena, vanjske strane imaju privremen i ograničen pristup, te postoji ustaljen postupak za dolazak, promjenu uloge ili odlazak zaposlenika.
Ključni pojmovi: least privilege (najmanje potrebna prava), osobni račun, dijeljeni račun, administratorski račun, razdvajanje dužnosti, dolazak, promjena uloge i odlazak, pregled pristupa
Načelo: najmanje potrebno
Least privilege (najmanje potrebna prava) znači da svatko dobiva točno onaj pristup koji mu je potreban za posao, i ništa više. NIST to opisuje kao načelo prema kojem korisnici imaju samo ona prava koja su minimalno potrebna za obavljanje njihovih zadataka.
Zašto je to važno? Jer svaki račun prije ili kasnije može biti preuzet: putem phishinga (modul 3), procurjele lozinke (lekcija 1.4) ili zaraženog prijenosnog računala. Ono što napadač tada može učiniti potpuno ovisi o pravima tog računa. Račun pripravnika koji se bavi samo društvenim mrežama ne donosi mnogo. Račun osobe koja je "radi praktičnosti" posvuda administrator, otvara sve: e-poštu, plaćanja, web stranicu, sigurnosne kopije.
Minimalna prava dakle ne smanjuju vjerojatnost provale, ali smanjuju štetu. Riječ je o istoj logici kao kod ključeva zgrade: čistačica ima ključ ulaznih vrata, ne i sefa.
Svatko svoj vlastiti račun
Dijeljeni račun je račun na koji se više osoba prijavljuje istom lozinkom: "svi mi koristimo info@example.com za prijavu u računovodstveni program". Djeluje praktično, ali ima četiri velika nedostatka:
- Ne znate tko je što napravio. U zapisniku (logu) stoji samo "info". Ako je promijenjeno plaćanje, ne možete utvrditi tko je to učinio.
- Ne možete nikoga pojedinačno isključiti. Kad netko ode, morate promijeniti lozinku za sve, a to se u praksi često ne dogodi.
- Dvofaktorska autentifikacija (2FA) loše funkcionira. Kod stiže na jedan telefon, pa se 2FA isključuje ili se kod prosljeđuje drugima.
- Lozinka kruži preko WhatsAppa, papirića i e-pošte, pa više nije tajna.
Osobni račun rješava sve to: vlastita prijava, vlastita 2FA, vlastiti zapisnik, moguće ga je pojedinačno isključiti. Gotovo svaka poslovna usluga podržava više korisnika s vlastitim pravima. Dijeljena adresa e-pošte poput info@ može i dalje postojati kao adresa; neka osobe koje je čitaju dobiju pristup preko vlastitog računa, ako Vaš sustav e-pošte to podržava.
Administratorska prava odvojeno
Administratorski račun može stvarati korisnike, mijenjati prava, mijenjati postavke, a često i brisati podatke. Upravo zato ga koristite što je moguće rjeđe.
- Svakodnevno radite s običnim računom i prijavite se kao administrator samo kad nešto treba upravljati. To vrijedi i za Vaše prijenosno računalo (lekcija 5.2).
- Osigurajte da barem dvije osobe imaju administratorska prava na najvažnijim uslugama, ili dobro čuvan rezervni (hitni) račun. Ako je jedini administrator bolestan ili odsutan, ostajete zaglavljeni.
- Ali i ne više nego što je potrebno. Pet administratora u tvrtki od osam ljudi je četvero previše.
- Uključite dvofaktorsku autentifikaciju na svakom administratorskom računu, po mogućnosti onu otpornu na phishing (lekcija 2.4).
Razdvajanje dužnosti ide korak dalje: jedna osoba ne smije sama od početka do kraja obaviti osjetljivu radnju. Najpoznatiji primjer vidjeli ste u lekciji 1.2: tko unosi novi IBAN dobavljača, ne odobrava sam i plaćanje. U malom poduzeću to može biti jednostavno: jedna osoba priprema plaćanje, druga ga odobrava u bankovnoj aplikaciji.
Vanjske strane: privremeno i ograničeno
Izrađivačima web stranica, knjigovođama, IT tvrtkama i freelancerima često je potreban pristup. Klasična je pogreška dati im vlastitu lozinku. Tada mogu sve što i Vi, a nakon toga više ne znate tko sve još ima pristup.
Bolje je:
- Dodijelite vlastiti račun samo s potrebnim pravima. Knjigovođi je dovoljan pristup računima; izrađivaču web stranice dostatne su datoteke jedne web stranice.
- Dodijelite pristup s krajnjim datumom ako se radi o jednokratnom poslu. Mnogi sustavi omogućuju automatsko isteknuće računa ili ključa.
- Ograničite, gdje je to moguće, s kojeg se mrežnog mjesta netko smije prijaviti.
- Zabilježite tko ima koji vanjski pristup i zašto.
Dolazak, promjena uloge i odlazak
Prava se sama od sebe gomilaju. Netko počne u prodaji, nekoliko mjeseci pomaže u administraciji, a zatim prelazi u proizvodnju. Ako nitko ne pazi, ta osoba nakon dvije godine ima prava sva tri radna mjesta. Zato prava uređujete u tri trenutka:
| Trenutak | Što činite |
|---|---|
| Dolazak (novi zaposlenik) | Izrada vlastitih računa s pravima pripadajuće uloge, odmah postavljanje 2FA, objašnjavanje gdje se što nalazi |
| Promjena uloge (druga funkcija) | Dodavanje novih prava i uklanjanje starih |
| Odlazak (prestanak rada) | Zadnjeg radnog dana isključivanje računa, poništavanje sesija na uređajima, promjena dijeljenih lozinki, predaja datoteka |
Kod odlaska redoslijed je važan. Prvo predaja, zatim isključivanje, tek kasnije brisanje. Ako odmah izbrišete račun, kod mnogih usluga nestaju i datoteke, kalendari i e-pošta te osobe. Kod nekih cloud usluga to je nakon kratkog roka trajno: Microsoft 365 prema vlastitoj dokumentaciji standardno čuva OneDrive obrisanog korisnika 30 dana. Isključivanje zadržava podatke i zatvara pristup.
Kod odlaska zaposlenika ne zaboravite ni na: pravila preusmjeravanja koja je osoba postavila (lekcija 2.5), lozinke za aplikacije, pristup bankovnoj aplikaciji, društvenim mrežama i registru Vaše domene, te ključeve ili kartice zgrade.
Pregled pristupa
Pregled pristupa je jednostavna tablica: po usluzi tko ima pristup, s kojim pravima i je li riječ o vlastitom ili vanjskom računu. Taj popis provjerite barem dva puta godišnje, i uvijek nakon odlaska zaposlenika. Kod svakog retka postavite jedno pitanje: treba li ova osoba to danas još uvijek?
U praksi: ovako to izgleda
U primjernom okruženju Moj WebOké pozivate kolegu, knjigovođu ili izrađivača web stranice kao korisnika. On se prijavljuje vlastitim podacima, a Vi po ovlaštenju odabirete što smije, na primjer samo Računi za knjigovođu. Samo vlasnik računa može pozivati korisnike i mijenjati prava, a jednim klikom možete ponovno povući pristup. U DirectAdmin možete izrađivaču web stranice dati vlastiti FTP račun za jednu mapu, ili pristupni ključ s datumom isteka, ograničenim naredbama i pristupom samo s određenih IP adresa.
U Nextcloud za kolegu koji odlazi najprije odaberite Disable: on se više ne može prijaviti, ali datoteke ostaju sačuvane. Upute su jasne: izbrišite korisnika tek kad je sve preuzeto, jer je izbrisani korisnik zajedno sa svim svojim datotekama trajno izgubljen. U drugim sustavima to funkcionira slično, ali se nazivi i rokovi razlikuju; provjerite to prije nego netko ode.
Sažetak
- Minimalna prava ograničavaju štetu ako je račun preuzet.
- Svatko svoj vlastiti račun: tada znate tko je što napravio i možete nekoga pojedinačno isključiti.
- Administratorska prava koristite samo kad je potrebno, za malen broj ljudi, uz snažnu 2FA.
- Vanjske strane dobivaju vlastiti, ograničeni i, gdje je moguće, privremeni račun, nikada Vašu lozinku.
- Uredite prava kod dolaska, promjene uloge i odlaska; kod odlaska: predaja, isključivanje, kasnije brisanje.
Kviz
Zadatak
Zadatak A7.1: Tko dobiva kakav pristup? Dobit ćete niz situacija iz malog poduzeća (novi knjigovođa, izrađivač web stranice za jednokratan posao, kolega koji odlazi, pripravnik). Za svaku situaciju odaberite najbolji način dodjele ili ukidanja pristupa. Program provjerava Vaš odabir i objašnjava zašto.
Zadatak D7.1: Vaš pregled pristupa. Izradite pregled pristupa za pet najvažnijih usluga: tko ima pristup, s kojim pravima, vlastiti ili dijeljeni račun, interni ili eksterni. Uklonite barem jedno suvišno pravo ili dijeljeni račun i napišite svoj popis postupanja za sljedeći put kad netko ode.
Zadatak D7.1: Vaš pregled pristupa
Evo kako pristupiti ovome: (1) Odaberite Vaših pet najvažnijih usluga (na primjer e-pošta, knjigovodstvo, banka, kontrolna ploča hostinga, cloud pohrana, registar Vaše domene). (2) Napravite pregled po usluzi: tko ima pristup (uloga, imena nisu potrebna), koja prava, vlastiti ili dijeljeni račun, interno ili eksterno, je li dvofaktorska autentifikacija uključena, datum posljednje prijave ako to usluga prikazuje. (3) U svakoj usluzi pronađite popis korisnika i usporedite ga s Vašim pregledom. Zapišite razlike. (4) Uklonite barem jedno nepotrebno pravo, jedan stari račun ili jedan dijeljeni račun, ili zamijenite dijeljeni račun osobnim računima. (5) Provjerite koliko administratora ima svaka usluga; nastojte imati dvojicu. (6) Napišite svoj popis za izlazak zaposlenika: što radite na posljednji radni dan nekoga (onemogućavanje računa, poništavanje sesija, provjera pravila preusmjeravanja i lozinki za aplikacije, promjena dijeljenih lozinki, prijenos datoteka, banka, društvene mreže, registar domene, ključevi i kartice). (7) Postavite ponavljajući termin (dva puta godišnje) za provjeru pregleda.
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatno štivo
Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.
- Priručnik za WebOké 11.3: Pozivanje korisnika i dodjela ovlasti
- Nextcloud priručnik 14.2: Gebruikers aanmaken, bewerken, uitschakelen en verwijderen
- Nextcloud priručnik 14.7: Prava: tko što upravlja u Vašem Nextcloudu?
- Nextcloud priručnik 16.7: Kolega odlazi: sigurno preuzimanje datoteka, kalendara i dijeljenih mapa
- DirectAdmin priručnik 3.5: Prijavni ključevi: prijava za skripte i programe
- DirectAdmin priručnik 11.6: FTP-račune izraditi i upravljati njima
- NIST, Glossary: least privilege (na engleskom): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (na engleskom): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion